TSSD

Cursul 7

Kerberos
 Protocolul Kerberos
Protocolul Kerberos a fost proiectat la Universitatea MIT
(Massachusetts Institute of Techonology) n cadrul
proiectului Athena, n jurul anului 1984.
Autentificare bidirectionala intre client si server
Protocolul n sine const dintr-un schimb de mesaje ntre un
client i o serie de servere, fiecare cu o alt misiune.
Implementrile curente folosesc un algoritm standard de
criptare DES (Data Encryption Standard).
Principii
Premiza iniial este c exist un server central, numit
serverul de autentificare (AS), care cunoate identitile
tuturor clienilor posibili.
Fiecare client a stabilit o parol secret pe care i acest
server o tie.
Parola ajunge la server printr-o cale sigur, de exemplu prin
pot sau printr-un mesager uman (m rog, sigur cel puin
din punct de vedere software).
 Implementarea Kerberos
Unde este stocat parola fiecrui client KC, KS, etc.).
Dac parola unui client este stocat pe disc atunci
este mai la indemna atacurilor asupra clientului.
Ca atare Kerberos nu memoreaz parola nicieri!
Utilizatorul este obligat s o tasteze de fiecare dat
cnd vrea s fie autentificat.
Deci procedura este urmtoarea: programul
clientului va lua legtura cu AS, iar cnd rspunsul
sosete utilizatorul trebuie s tasteze parola KC.
Parola este imediat folosit pentru a decripta mesajul
de la AS dup care este complet tears din
memorie.
n acest fel fereastra de vulnerabilitate este redus la
maximum.
Figura 1: Protocolul Kerberos complet.
 Tabel 1: Schimbul complet de mesaje n protocolul Kerberos.

Nr
ntre Coninutul mesajului
.

1 C ---> AS C, TGS, ora de expirare, N

2 AS ---> C KC, TGS, ora de expirare, N}K_C, {TC,TGS}KTGS

3 C ---> TGS {ora locala}KC,TGS, {TC,TGS}KTGS, S, ora de expirare, N1

4 TGS ---> C {KC,S, S, ora de expirare, N1}KC, TGS, {TC,S}KS

5 C ---> S {ora locala, suma de control,Ksubsesiune}KC,S, {TC,S}KS

6 S ---> C {ora locala}KC,S

 Autentificarea SSL/TLS
Secures Sockets Layer (SSL), tehnologia care permite utilizarea
certificatelor digitale, este un protocol din nivel transport care
ofer o securitate deosebit de tip end-to-end, prin securizarea
sesiunii din punctul de origine pn n punctul destinaie.
SSL se refer n general la securitatea comunicrii ntre dou
pri. Acest lucru poate nsemna comunicarea dintre un browser
Web i un server Web, o aplicaie email i un server e-mail sau
chiar canalele de comunicaie dintre dou servere.
SSL poate de asemenea s autentifice un server i, n mod
opional, un client. SSL a devenit astfel, metoda de facto pentru
securizarea comerului electronic prin Internet.
SSL este un protocol orientat pe conexiuni care necesit ca att
aplicaia client ct i serverul s cunoasc acest protocol.
n cazul n care este necesar SSL la nivelul
unui server, aplicaiile care nu pot s utilizeze acest protocol nu
vor putea comunica cu acesta.
 Performana SSL
Dac SSL ofer o asemenea securitate, de ce nu se
cripteaz ntregul trafic?
Dei este o idee bun, n procesul de criptare i stabilire a
unei conexiuni SSL este implicat i foarte mult trafic
adiional, din cauza naturii protocolului HTTP care creeaz o
nou sesiune pentru fiecare obiect cerut dintr-o pagin
Web.
De exemplu, ntr-o simpl tranzacie n care browser-ul cere
o singur pagin de text cu patru imagini, genereaz cinci
cereri GET (una pentru pagin i patru pentru imagini).
Prin utilizarea SSL, pentru fiecare din aceste sesiuni trebuie
negociate chei separate de criptare.
Pentru a nrutii i mai mult lucrurile, utilizatorii frustrai de
timpul de rspuns rencarc pagina n browser-ul Web
(refresh), genernd i mai multe conexiuni SSL.
 SSH
Unix este un sistem de operare sofisticat i matur care a
fost dezvoltat de Bell Labs la nceputul anilor 1970.
Pe msura trecerii anilor, Unix a avut partea sa de probleme
de securitate, multe dintre ele fiind rezolvate.
n general, Unix este considerat a fi un sistem de operare
sigur i stabil cnd este configurat n mod corect.
Cu toate acestea, exist o serie de protocoale care continu
s scada securitatea sistemelor Unix, printre acestea
numrndu-se Telnet, FTP precum i faimoasele comenzi
de la Berkley de tip r* (rcp, rsh, rlogin).
Programe i protocoale nesigure continu s ofere acces
uor la sistem att pentru administratori ct i pentru
utilizatori ruvoitori.
Aceste protocoale rmn vulnerabile n mare parte datorit
faptului c datele de autentificare sunt trimise prin reea sub
form de text clar, acesta semnificnd c oricine poate s
obin numele de utilizator i parola, exploatnd apoi un
serviciu prin impersonarea utilizatorului legitim.
 Autentificarea prin SSH
SSH ofer cteva mecanisme pentru autentificarea utilizatorilor
n funcie de versiunea SSH utilizat.
Cea mai slab form de autentificare este realizat prin
intermediului fiierelor .rhosts, aceast metod nefiind
recomandat a fi selectat deoarece este foarte puin sigur.
Alt metod de autentificare este oferit de criptarea prin RSA.
Utiliznd aceast metod, utilizatorul creeaz o pereche
public/privat de chei prin utilizarea programului ssh-keygen,
cheia public fiind stocat n directorul printe al utilizatorului.
n momentul n care clientul se autentific n faa serverului,
trimite numele de utilizator i cheia public spre gazda de la
distan.
Serverul returneaz cheia de sesiune criptat cu cheia public
a utilizatorului.
Aceast cheie de sesiune va fi decriptat cu cheia privat a
utilizatorului.
SSH 1 SSH 2

Triple - DES Triple - DES - algoritm implicit

128 bit RC4 128 bit RC4

Blowfish Blowfish

IDEA - algoritm implicit Twofish

DES Arcfour

RSA CAST 128

- DSA

- Transferul cheilor prin Diffie Hellman